如何利用 Apache 代理实现后端接口的访问控制名单共享-Apache-PHP中文网

apache代理本身不共享访问控制名单，但可通过集中配置实现多个后端接口共用同一套ip白名单或认证规则；关键在于将require指令置于proxypass之前，在location块中统一拦截，支持路径前缀复用、封装或@外部文件引用，确保名单定义一次、全局生效。

如何利用 apache 代理实现后端接口的访问控制名单共享

Apache 代理本身不“共享”访问控制名单，但可以通过集中配置实现多个后端接口共用同一套 IP 白名单或认证规则，达到逻辑上的“名单共享”效果。关键在于把访问控制放在代理层统一拦截，而不是分散到每个后端服务里重复写。

把控制逻辑统一放在 Location 块中

适用于所有匹配该路径前缀的接口，天然支持名单复用。比如 /api/ 下所有子路径（/api/users、/api/orders、/api/export）都走同一套校验：

<location>
    ProxyPass "http://192.168.1.20:8080/"
    ProxyPassReverse "http://192.168.1.20:8080/"
    Require ip 192.168.10.0/24 10.0.5.100 127.0.0.1
</location>

这样，只要请求 URL 以 /api/ 开头，就强制校验来源 IP —— 名单只定义一次，所有接口自动继承。

用别名或正则表达式复用同一组 Require 规则

当接口分布在不同路径但需共用白名单时（如 /v1/、/admin/、/internal/），可提取公共规则到 <requireall></requireall> 或单独定义 Require 块：

<requireall>
    Require ip 192.168.10.0/24
    Require ip 10.0.5.100
</requireall><location>
    ProxyPass "http://backend-v1:3000/"
    ProxyPassReverse "http://backend-v1:3000/"
    Require expr %{REQUEST_URI} =~ m#^/v1/# && %{REMOTE_ADDR} in {"192.168.10.0/24", "10.0.5.100"}
</location><location>
    ProxyPass "http://backend-admin:4000/"
    ProxyPassReverse "http://backend-admin:4000/"
    Require expr %{REQUEST_URI} =~ m#^/admin/# && %{REMOTE_ADDR} in {"192.168.10.0/24", "10.0.5.100"}
</location>

更简洁的做法是直接在每个 Location 中引用相同 Require ip 行——本质就是名单文本复用，无需额外机制。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

利用外部文件集中管理 IP 名单（推荐用于频繁变更场景）

Apache 支持从外部文件读取 IP 列表，便于运维统一维护，避免每次改名单都动主配置：

创建白名单文件：
/etc/apache2/auth/ip-whitelist.txt
内容示例：
```
192.168.10.0/24
10.0.5.100
172.21.204.107
```

在配置中引用（需启用 mod_authz_owner 和 mod_authz_core）：

<location>
    ProxyPass "http://backend:8080/"
    ProxyPassReverse "http://backend:8080/"
    Require ip @/etc/apache2/auth/ip-whitelist.txt
</location>